Anais - Engenharia de Redes de Comunicação - UnB

diferente do que foi definido será detectado ou inferido pela proposta, sempre há a
possibilidade de uma entrada incorreta na definição da ontologia por erro humano –
assim como em qualquer outro sistema automatizado, se a entrada está incorreta, o
resultado será impreciso. No caso da proposta a possibilidade de erro de especificação
do ataque na ontologia é minimizada devido ao uso da taxonomia da CAPEC.
Se o ataque está completamente descrito (contendo as condições necessárias e
suficientes que refletem a estratégia do ataque no mundo real) a probabilidade de falso
positivo é nula. Porém, se o conjunto de atributos (relacionamentos) e restrições não
estiver precisamente descrito há possibilidade de ocorrência de falsos positivos.
A partir destas considerações, dois cenários foram criados para testar a taxa de
falsos positivos da abordagem proposta na detecção através do Pellet (módulo de
inferência do XID que se utiliza dos axiomas para deduzir ataques), visando garantir
que a ontologia tenha sido projetada de forma coerente.
Para o teste dos cenários foram criadas 128 instâncias (reais e simuladas) para
avaliar os axiomas das quatro classes de ataques da proposta (XMLInjection,
XPathInjection, XQueryInjection e XSSInjection). No primeiro cenário a lógica de
detecção alertou ataques a cada inferência conclusiva, ou seja, assim que as restrições
(axiomas) de qualquer classe eram atendidas o ataque era alertado. Já no segundo
cenário (abordagem do XID), o protótipo verificou se os ataques continham subclasses
(indícios de que um ataque mais específico estaria ocorrendo) antes de alertá-los.
A avaliação dos cenários foi dividida em duas fases. Na primeira fase, 64 dos
128 ataques criados foram utilizados, com o intuito de se fazer uma avaliação
(treinamento) inicial da ontologia e ajustar as classes e axiomas caso fosse necessário.
Portanto, 50% da amostragem de instâncias já estavam na ontologia ao término da
primeira fase. Pequenos ajustes foram feitos na lógica de detecção do protótipo após os
resultados deste treinamento, nenhuma alteração foi feita na ontologia. Na segunda fase,
as 64 instâncias de ataque restantes foram simuladas para testar a porcentagem de acerto
da proposta nas inferências feitas em tempo de execução, para ambos os cenários.
O resultado da avaliação para o primeiro cenário foi que 7/64 instâncias de
ataque não foram detectadas corretamente. Estas sete instâncias continham três ações
cada uma, uma ação da classe Discovery, uma da classe ProbeXPath e uma da classe
ProbeXQuery. Estas sequências de três ações deveriam alertar um ataque do tipo
XQueryInjection de acordo com o axioma definido para esta classe. Porém, o protótipo
alertou para cada uma das sete instâncias como ataques de XPathInjection e de
XMLInjection, respectivamente (totalizando 14 ataques alertados). Isto ocorreu porque a
primeira parte dos ataques gerados (ação de Discovery e ação de ProbeXPath) satisfaz o
axioma da classe de ataque XPathInjection, e a parte restante (ação de ProbeXQuery)
satisfaz sozinha o axioma da classe genérica XMLInjection.
Assim, no primeiro cenário o resultado da dedução foi impreciso em alguns
casos porque não foi considerado integramente o conjunto de ações que atendem as
restrições da classe mais específica. Isto é, a dedução considerou apenas um
subconjunto de ações que satisfaziam as restrições dos axiomas de classes mais
genéricas – primeiras a serem testadas na lógica de detecção.
No segundo cenário, o protótipo foi programado para apenas alertar um ataque
mais genérico após verificar as classes mais específicas do ataque sendo inferido. Desta
forma, todas as 64 instâncias de ataque foram inferidas com sucesso e adicionadas às
classes corretas na ontologia. Como neste cenário o protótipo aguardou a detecção da
próxima ação antes de alertar um ataque – quando havia a possibilidade de um ataque
53